在基于优化的越狱攻击中，攻击者通常将输入构造为“对抗性前缀”与“后缀”的组合；前缀插入在用户指令之前，用于引导模型进入易于接受恶意指令的状态，后缀附加在指令之后，用于强化攻击效果。